LdrShuffle

LdrShuffle 通过修改运行时已加载模块的 EntryPoint 实现隐蔽代码执行。 摘要 Windows 进程在运行时加载了各种模块。其中每个模块都定义了一个 DllMain 函数，该函数会在进程或线程创建/销毁时被调用（共有四种可能的情形）。 为了在进程生命周期内正确调用这些函数，Windows 加载器函数（ntdll!Ldrp）会引用一个条目列表，其中包含每个模块的关键参数（包括 EntryPoint 字段）。 通过覆写某个 DLL 的 EntryPoint，我们可以确保代码执行被重定向到我们选择的位置。 使用场景 这既可以用作代码执行原语，也可以用于 API...